Обновление OpenSSH на CentOS 7.x

Проверяю безопасность сервера сканером, можно обнаружить множество уязвимостей ssh. Проблема в том, что свежие релизы Centos используют старые пакеты OpenSSH v7.4. Для исправления уязвимостей необходимо обновить данный пакет.

[root@localhost ~]# cat /etc/redhat-release
CentOS Linux release 7.9.2009 (Core)

Проверяем версию установленного пакета ssh

[root@localhost ~]# rpm -qa | grep openssh
openssh-clients-7.4p1-21.el7.x86_64
openssh-server-7.4p1-21.el7.x86_64
openssh-7.4p1-21.el7.x86_64

Зачастую для обновления или установки пакетов в Centos используется команда yum. Но в данном случае она нам не поможет, так как в репозитории нет новой версии пакета openssh.

Как же максимально быстро установить новый пакет openssh? На github  для этого написали скрипт, который выполняет сборку пакета из исходных кодов и выполняет его установку.

Поддерживаемые версии установки для данного скрипта  OpenSSH {7.9p1,8.0p1,8.1p1,8.2p1,8.3p1}.

bash <(curl -sSL https://github.com/Junyangz/upgrade-openssh-centos/raw/master/build-RPMs-OpenSSH-CentOS.sh) \
    --version 8.3p1  \
    --output_rpm_dir /tmp/tmp.dirs \
    --upgrade_now yes >

—output_rpm_dir  -обязательная опция, вы должны указать директорию для сборки пакета.

Содержимое скрипта.

build_RPMs() {
    local output_rpm_dir="${1}"
    yum install -y pam-devel rpm-build rpmdevtools zlib-devel openssl-devel krb5-devel gcc wget libx11-dev gtk2-devel libXt-devel
    mkdir -p ~/rpmbuild/SOURCES && cd ~/rpmbuild/SOURCES
    
    wget -c https://mirrors.tuna.tsinghua.edu.cn/OpenBSD/OpenSSH/portable/openssh-${version}.tar.gz
    wget -c https://mirrors.tuna.tsinghua.edu.cn/OpenBSD/OpenSSH/portable/openssh-${version}.tar.gz.asc
    wget -c https://mirrors.tuna.tsinghua.edu.cn/slackware/slackware64-current/source/xap/x11-ssh-askpass/x11-ssh-askpass-1.2.4.1.tar.gz

    tar zxvf openssh-${version}.tar.gz
    yes | cp /etc/pam.d/sshd openssh-${version}/contrib/redhat/sshd.pam
    mv openssh-${version}.tar.gz{,.orig}
    tar zcpf openssh-${version}.tar.gz openssh-${version}
    cd
    tar zxvf ~/rpmbuild/SOURCES/openssh-${version}.tar.gz openssh-${version}/contrib/redhat/openssh.spec

    cd openssh-${version}/contrib/redhat/ && chown root.root openssh.spec
    sed -i -e "s/%define no_gnome_askpass 0/%define no_gnome_askpass 1/g" openssh.spec
    sed -i -e "s/%define no_x11_askpass 0/%define no_x11_askpass 1/g" openssh.spec
    sed -i -e "s/BuildPreReq/BuildRequires/g" openssh.spec
    sed -i -e "s/PreReq: initscripts >= 5.00/#PreReq: initscripts >= 5.00/g" openssh.spec
    sed -i -e "s/BuildRequires: openssl-devel < 1.1/#BuildRequires: openssl-devel < 1.1/g" openssh.spec
    sed -i -e "/check-files/ s/^#*/#/"  /usr/lib/rpm/macros

    rpmbuild -ba openssh.spec
    cd /root/rpmbuild/RPMS/x86_64/
    tar zcvf ${output_rpm_dir}/openssh-${version}-RPMs.el${rhel_version}.tar.gz openssh*
    rm -rf ~/rpmbuild ~/openssh-${version}
}

В качестве параметра version нужна указать версию пакета которую вы хотите собрать.

Так же есть возможность обновить текущую версию пакета openssh указав опцию  —upgrade_now yes

upgrade_openssh() {
    local temp_dir="$(mktemp -d)"
    local output_rpm_dir="$1"
    trap "rm -rf ${temp_dir}" EXIT
    pushd "${temp_dir}"

    timestamp=$(date +%s)
    if [ ! -f ${output_rpm_dir}/openssh-${version}-RPMs.el${rhel_version}.tar.gz ]; then
        echo "${output_rpm_dir}/openssh-${version}-RPMs.el${rhel_version}.tar.gz not exist"
        exit 1
    fi
    cp ${output_rpm_dir}/openssh-${version}-RPMs.el${rhel_version}.tar.gz ./
    tar zxf openssh-${version}-RPMs.el${rhel_version}.tar.gz
    cp /etc/pam.d/sshd pam-ssh-conf-${timestamp}
    rpm -U *.rpm
    mv /etc/pam.d/sshd /etc/pam.d/sshd_${timestamp}
    yes | cp pam-ssh-conf-${timestamp} /etc/pam.d/sshd
    sed -i '/PermitRootLogin yes/ s/^#*//'  /etc/ssh/sshd_config
    chmod 600 /etc/ssh/ssh*
    /etc/init.d/sshd restart
    echo "New version upgrades as to lastest:" ; $(ssh -V)
}

Используя данную опцию, будет выполнена автоматическая сборка и установка пакета нужной версии.

Скрипт использует в качестве версии, параметры, так что его можно использовать для установки самой последней доступной версии пакета openssh.

Необходима помощь в настройке сервера, обращайтесь [email protected]